راهنمای تنظیمات SSL در cPanel & WHM

مقدمه

SSL/TLS (Secure Sockets Layer / Transport Layer Security) پروتکلی است که اطلاعات بین مرورگر کاربر و سرور را رمزگذاری می‌کند و از شنود غیرمجاز جلوگیری می‌کند. این پروتکل از ارتباطات حساس، مانند اطلاعات کارت بانکی و نام کاربری و رمز عبور، محافظت می‌کند.

هر دو پروتکل یک handshake برقرار می‌کنند که در آن سرور و کامپیوتر کاربر شرایطی مانند مجموعه‌ای از کلیدهای عمومی و خصوصی را برای رمزگذاری و رمزگشایی داده‌ها تعیین می‌کنند.

نکته مهم:

• cPanel & WHM از TLS نسخه 1.2 و 1.3 پشتیبانی می‌کند.
• فقط TLSv1.2 یا بالاتر فعال است و TLSv1.3 ممکن است توسط همه مرورگرها پشتیبانی نشود.

راه‌اندازی SSL/TLS:

• برای سرور: از رابط SSL/TLS Configuration در WHM (WHM » Home » SSL/TLS » SSL/TLS Configuration) استفاده کنید.
• برای دامنه‌های یک حساب cPanel: از رابط SSL/TLS در cPanel (cPanel » Home » Security » SSL/TLS) استفاده کنید.
• cPanel DNSOnly سرورها گواهی رایگان یا خودامضا ارائه نمی‌دهند.
• میتوانید از افزونه Let’s encypt در سرور استفاده نمایید

گواهی‌های SSL

گواهی SSL یک سند دیجیتال است که کلید عمومی را به یک هویت متصل می‌کند و امنیت ارتباط مرورگر و سایت را تضمین می‌کند.

کارکردهای اصلی:

• رمزگذاری: داده‌ها را رمزگذاری می‌کند تا اگر کسی آن‌ها را رهگیری کرد، نتواند بخواند.
• تأیید هویت: اطمینان می‌دهد که به سرور صحیح متصل شده‌اید.

نکته:

• گواهی‌ها نام دامنه را دقیقاً بررسی می‌کنند؛ www.example.com و example.com دو دامنه متفاوت هستند.
• نام معمول (CN) گواهی فقط جنبه ظاهری دارد و بر امنیت اثر ندارد.
• CN لزوماً نیازی به دامنه اصلی ندارد؛ گواهی دامنه‌ها را در فیلد Subject Alternative Name (SAN) پوشش می‌دهد.

امنیت کلید SSL

هنگام ایجاد گواهی SSL، می‌توانید نوع کلید آن را انتخاب کنید. همچنین می‌توان نوع کلید پیش‌فرض را در WHM تنظیم کرد:

• در WHM: از SSL/TLS Configuration یا Tweak Settings » Default SSL/TLS Key Type
• در cPanel: از رابط SSL/TLS

نکته: تغییر نوع کلید پیش‌فرض باعث اجرای AutoSSL و بروزرسانی تمام گواهی‌های نصب‌شده می‌شود.

انواع گواهی‌ها

• Single-domain: فقط یک دامنه یا زیردامنه را پوشش می‌دهد.
• Multi-domain / UC/SAN: چند دامنه را با یک گواهی پوشش می‌دهد. برای افزودن دامنه جدید باید مجدداً صادر شود.
• Self-signed: هویت سرور را تأیید نمی‌کند و مرورگرها هشدار می‌دهند.
• Shared SSL: چند دامنه را با یک گواهی مشترک امن می‌کند. cPanel & WHM از این نوع پشتیبانی نمی‌کند.
• Wildcard: برای دامنه‌های زیردامنه، مثال *.example.com همه زیردامنه‌ها را پوشش می‌دهد، اما دامنه اصلی example.com را پوشش نمی‌دهد.

پشتیبانی SNI

SNI (Server Name Indication) اجازه می‌دهد چند گواهی SSL برای دامنه‌های مختلف روی یک IP نصب شود. مرورگر نام دامنه را در ابتدای handshake اعلام می‌کند.

نکته: cPanel & WHM از SNI برای سرویس FTP پشتیبانی نمی‌کند.

مراجع صدور گواهی (CA) و CA Bundle

CA: مرجع صدور گواهی است که SSL صادر می‌کند.

• CA Bundle: شامل گواهی‌های ریشه، واسط و زنجیره اعتماد است. ترتیب فایل‌ها مهم است.
• EV (Extended Validation) معمولاً شامل فایل‌های بیشتری نسبت به OV و DV است.

CAA Records: مشخص می‌کنند کدام CA مجاز به صدور گواهی برای دامنه است. اگر رکوردی وجود نداشته باشد، هر CA می‌تواند گواهی صادر کند.

AutoSSL

AutoSSL به‌طور خودکار گواهی SSL صادر و تمدید می‌کند:

• گواهی‌های cPanel پس از ۹۰ روز منقضی می‌شوند.
• AutoSSL قبل از انقضا، تلاش می‌کند آن‌ها را جایگزین کند.
• AutoSSL دامنه‌های معلق را شامل نمی‌شود.

ترتیب‌بندی AutoSSL:

• دامنه‌های دارای گواهی SSL موجود ابتدا اضافه می‌شوند.
• دامنه اصلی و زیردامنه‌های www، mail، IPv6
• Addon domainها و زیردامنه‌های آن‌ها
• دامنه‌های کوتاه‌تر و دامنه‌های کمتر پیچیده

ارائه‌دهنده AutoSSL:

• Let’s Encrypt به‌صورت پیش‌فرض و رایگان است.
• محدودیت‌ها: ۵۰ دامنه ثبت‌شده در هفته، حداکثر ۱۰۰ زیردامنه، ۳۰۰ سفارش گواهی هر سه ساعت

شرایط دامنه و محدودیت‌ها:

• رکورد CAA موجود روی دامنه، CA را محدود می‌کند.
• AutoSSL فقط دامنه‌ها و زیردامنه‌هایی را شامل می‌شود که تست DCV را گذرانده‌اند.

تمدید دستی AutoSSL

برای سرور: از دستور checkallsslcerts استفاده کنید:

/usr/local/cpanel/bin/checkallsslcerts

برای یک کاربر cPanel:

• وارد cPanel شوید
• به SSL/TLS Status بروید
• روی Run AutoSSL کلیک کنید

تمدید قبل از انقضا:

• به Manage SSL Sites بروید
• گواهی را حذف و AutoSSL را اجرا کنید

به‌روزرسانی دستی بدون AutoSSL:

• از CA معتبر گواهی تهیه کنید
• در WHM: Install an SSL Certificate on a Domain
• در cPanel: Manage SSL Sites → وارد کردن CRT, KEY و CABUNDLE → Install Certificate

کیان پور